Hoe lang duurt een DORA-implementatie?

De doorlooptijd van een DORA-traject wordt zelden bepaald door hoe snel u kunt werken, maar door hoe lang anderen erover doen. Contracten en leveranciersinformatie zitten op het kritieke pad, en daar heeft u de regie niet.

Wat u zelf in de hand heeft

De inventarisatie van functies en systemen, het schrijven van het raamwerk en het inrichten van het incidentproces kunt u plannen. Dat is weken tot maanden werk, afhankelijk van omvang, en het tempo ligt bij u.

De inventarisatie is daarvan de grootste en de minst voorspelbare. Bij een organisatie met een actueel systeemoverzicht is het aanvullen; bestaat dat niet, dan begint alles daar en loopt het snel op.

Wat u niet in de hand heeft

• Gegevens van leveranciers. Voor het register heeft u informatie nodig die zij moeten aanleveren. Reken op rappelleren, meerdere keren
• Contractonderhandelingen. Elke wijziging gaat langs hun juristen. Bij grote aanbieders is dat een wachtrij, geen gesprek
• Externe tests. Goede testers zijn schaars en werken met planning. Een TLPT vraagt maanden voorbereiding
• Interne besluitvorming. Bestuursbesluiten volgen de vergadercyclus, niet uw planning

Een realistische volgorde

Zet de dingen die van anderen afhangen zo vroeg mogelijk in gang, ook als uw eigen huiswerk nog niet af is.

Vraag leveranciersgegevens op zodra u weet welke leveranciers kritiek zijn, en start contractgesprekken voordat het beleid helemaal rond is. Wachten tot alles intern klaar is, verdubbelt de doorlooptijd zonder dat het de kwaliteit verhoogt.

De rest kan parallel: terwijl de contracten lopen, schrijft u het raamwerk, richt u het incidentproces in en voert u de eerste tests uit.

Waar tijd verdwijnt

• Opnieuw schrijven van beleid dat op verkeerde aannames stond
• Wachten op één bestuursvergadering omdat een besluit niet eerder kon
• Zoeken naar contracten die niet in de centrale administratie staan
• Herhaald rappelleren bij leveranciers zonder escalatiepad

Drie van deze vier zijn te voorkomen door eerder te beginnen, niet door harder te werken.

Wanneer bent u klaar

Nooit helemaal, en dat is geen woordspel. Het raamwerk wordt jaarlijks herzien, het register bijgewerkt, er wordt getest en bijgesteld.

Wat wel een mijlpaal is: het moment waarop u elke vraag van uw toezichthouder met een document kunt beantwoorden in plaats van met een toelichting. Vanaf dat punt is het onderhoud.

Veelgestelde vragen

Wat duurt het langst?

De contracten, vrijwel altijd. Niet omdat het veel werk is, maar omdat het wachten is.

Kunnen we versnellen door capaciteit toe te voegen?

Voor de inventarisatie en documentatie wel. Voor de onderdelen die van derden afhangen niet; meer mensen laat een juridische afdeling elders niet sneller werken. Begin daar dus eerder, niet met meer.

Moeten we een projectorganisatie optuigen?

Voor een middelgrote instelling volstaat één eigenaar met mandaat en een vaste werkgroep. Een zware projectstructuur kost zelf ook doorlooptijd.